Agentes de IA locales: privados, pero ¿son seguros?

Ejecutar IA en tu propio ordenador mantiene tus datos lejos de los proveedores de nube, pero no te hace estar a salvo. En cuanto un agente de IA local puede leer tus archivos, abrir tu correo y ejecutar comandos, cualquiera que pueda ponerle texto delante puede intentar dirigirlo, y ese es un problema de seguridad que la privacidad por sí sola no resuelve.

Este artículo explica por qué personas y empresas llevan la IA a sus propias máquinas, qué salió mal con un agente local popular y cómo obtener la ventaja de la privacidad sin abrir una puerta trasera.

¿Por qué ejecutar la IA en local?

Por privacidad y control. Un modelo que se ejecuta en tu dispositivo no envía tus prompts, documentos o código a un proveedor. Aplicaciones de escritorio como Jan, una alternativa gratuita y de código abierto a ChatGPT, permiten descargar modelos abiertos y ejecutarlos en local.

También hay una razón laboral. El Work Trend Index 2024 de Microsoft y LinkedIn encontró que el 78 % de quienes usan IA en el trabajo llevan sus propias herramientas. Algunas organizaciones ven la IA local como una forma de dar IA a su plantilla sin enviar datos de la empresa a servicios externos.

¿Es segura la IA local?

Una aplicación de chat local que solo responde preguntas tiene una superficie de ataque pequeña. Un agente local es distinto. Actúa: lee archivos, navega, envía mensajes y ejecuta comandos. Eso convierte dos riesgos conocidos en graves.

Inyección indirecta de prompts. Unos investigadores describieron en 2023 cómo instrucciones ocultas en contenido que lee una IA, como una página web o un documento, pueden tomar el control de su comportamiento. OWASP sitúa la inyección de prompts en primer lugar entre los riesgos de las aplicaciones basadas en grandes modelos de lenguaje, y señala que las inyecciones indirectas llegan desde fuentes externas como webs o archivos.

Autonomía excesiva. El riesgo LLM06 de OWASP nombra las causas de fondo del daño cuando un agente es engañado: funcionalidad excesiva, permisos excesivos y autonomía excesiva. Un agente con acceso total a un portátil tiene las tres.

Los costes son reales. El Cost of a Data Breach Report 2026 de IBM halló que los incidentes de inyección de prompts contra la IA de una organización causaron pérdidas medias de 5,89 millones de dólares.

¿Qué pasó con Clawdbot y OpenClaw?

A principios de 2026, un asistente de IA de código abierto, llamado sucesivamente Clawdbot, Moltbot y OpenClaw, se hizo viral porque podía realizar tareas por sí mismo en el ordenador del usuario. Los investigadores de seguridad pronto dieron la alarma. Tenable describió cómo, como la herramienta lee correos, mensajes de chat y páginas web, los atacantes podían enviar mensajes que la engañaran para ejecutar comandos no autorizados, y cómo las claves que guarda el agente podían robarse para apoderarse de cuentas.

El consejo de Tenable era claro: limitar las claves y tokens del agente para dar solo el acceso justo e impedir acciones peligrosas; y, como el agente puede añadirse a canales de grupo donde lee mensajes no fiables, dar acceso solo a personas y canales de confianza.

Análisis: la lección no es que una herramienta estuviera mal hecha. Cualquier agente que mezcle entradas no fiables, datos privados y capacidad de actuar está expuesto del mismo modo, se ejecute donde se ejecute.

Privacidad o seguridad: ¿hay que elegir?

No, pero hay que diseñar para ambas. El procesamiento local protege los datos frente al proveedor. El aislamiento y los permisos limitados protegen los datos frente al agente. La nube no es automáticamente peor: un servicio bien gestionado puede aplicar vigilancia y parches que un portátil personal nunca recibe. La elección correcta depende de los datos, la tarea y quién mantendrá la instalación.

¿Cómo usar agentes de IA locales de forma segura?

1. Separar el chat de la acción. Usar un modelo local sencillo para preguntas privadas; activar herramientas de agente solo cuando haga falta.
2. Conceder el mínimo acceso. Dar al agente una carpeta de trabajo, no todo el disco, y ninguna contraseña o clave guardada que no necesite.
3. Aislarlo. Ejecutar los agentes en un contenedor o máquina virtual para que un agente engañado no alcance el resto del sistema.
4. Mantener a una persona en el circuito. Exigir aprobación antes de que ejecute comandos, envíe mensajes o se conecte a internet.
5. Limitar la entrada no fiable. No dejar que un agente con herramientas potentes lea canales públicos o correos desconocidos.
6. Actualizar y vigilar. Aplicar rápido las actualizaciones de seguridad y registrar lo que hace el agente.
7. Fijar una política de empresa. Si la plantilla trae su propia IA, ofrecerle herramientas aprobadas y reglas claras en lugar de una prohibición que esquivará.

Para estructurar los sistemas de IA de modo que una parte comprometida no alcance todo, véase ¿Un gran modelo o muchos agentes?.

Preguntas frecuentes

¿Es la IA local más privada que la IA en la nube?

Normalmente sí, en cuanto a los datos: un modelo que se ejecuta en tu dispositivo no envía tus prompts ni tus archivos a un proveedor. Pero privacidad no es seguridad. Un agente con acceso a tus archivos, tu correo y la línea de comandos todavía puede ser engañado para filtrarlos.

¿Qué es la inyección indirecta de prompts?

Es un ataque en el que se esconden instrucciones en contenido que lee la IA, como una página web, un correo o un archivo. OWASP sitúa la inyección de prompts como el primer riesgo de las aplicaciones basadas en grandes modelos de lenguaje.

¿Qué falló con Clawdbot y OpenClaw?

El agente de código abierto llamado sucesivamente Clawdbot, Moltbot y OpenClaw generó alertas de seguridad a principios de 2026. Tenable describió inyecciones indirectas de prompts a través de correos, chats y páginas web, y robos de claves de API, y aconsejó dar acceso al agente solo a personas y canales de confianza.

¿Cómo ejecutar un agente de IA local de forma segura?

Darle los mínimos permisos que necesite, ejecutarlo en un contenedor o máquina virtual aislados, exigir tu aprobación antes de que ejecute comandos o envíe datos, mantenerlo lejos de contenido no fiable cuando sea posible y tenerlo actualizado.

Referencias

1. Jan, Open-source ChatGPT replacement — Ejemplo de aplicación de escritorio gratuita y de código abierto que ejecuta modelos de IA en local.
2. Tenable (2026), Agentic AI Security: How to Mitigate Clawdbot, Moltbot, OpenClaw Vulnerabilities — Inyección indirecta de prompts por correos, mensajes y páginas web; claves expuestas; consejo de dar acceso solo a personas y canales de confianza.
3. Greshake et al. (2023), Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection — El artículo de investigación que describió la inyección indirecta de prompts.
4. OWASP (2025), LLM01:2025 Prompt Injection — Define la inyección de prompts directa e indirecta, incluidas instrucciones ocultas en webs o archivos.
5. OWASP (2025), LLM06:2025 Excessive Agency — Causas de fondo: funcionalidad, permisos y autonomía excesivos.
6. IBM (2026), AI-powered adversaries and the enterprise risk challenge (Cost of a Data Breach Report 2026) — Los incidentes de inyección de prompts causaron pérdidas medias de 5,89 millones de dólares.
7. Microsoft and LinkedIn (2024), AI at Work Is Here. Now Comes the Hard Part (Work Trend Index) — El 78 % de los usuarios de IA lleva sus propias herramientas de IA al trabajo.